Comment une PME se fait réellement attaquer
Oubliez l’image du pirate qui cible votre entreprise. Dans la quasi-totalité des cas que nous traitons, l’attaque est opportuniste et automatisée : un balayage massif d’Internet trouve un accès distant mal protégé, ou un e-mail piégé aboutit sur le poste d’un collaborateur pressé.
À partir de là, le scénario est presque toujours le même : l’attaquant récupère des identifiants, se déplace tranquillement dans le réseau pendant quelques jours, repère et détruit les sauvegardes accessibles, puis déclenche le chiffrement un vendredi soir.
Cette chronologie est une bonne nouvelle : elle offre plusieurs points de rupture. Il suffit d’en bloquer un pour que l’attaque échoue.
1. Une sauvegarde externalisée dont la restauration est testée
C’est la mesure la plus importante, et de loin la plus mal appliquée. Une sauvegarde qui tourne sur un disque branché en permanence au serveur sera chiffrée en même temps que le reste : elle ne sert à rien.
Ce qu’il faut : une copie hors site, chiffrée, avec plusieurs versions conservées et une protection contre l’effacement. Et surtout, une restauration réellement testée à intervalles réguliers.
Nous avons vu suffisamment de sauvegardes « qui tournaient depuis trois ans » se révéler illisibles le jour J. Tant que vous n’avez pas restauré, vous n’avez pas de sauvegarde : vous avez une hypothèse.
2. L’authentification à deux facteurs sur la messagerie et les accès distants
La majorité des intrusions commencent par un mot de passe volé, réutilisé ou deviné. Le MFA rend un mot de passe seul inexploitable, et c’est probablement le meilleur rapport entre effort et protection de toute la liste.
La priorité va à la messagerie — porte d’entrée de la fraude au virement — puis aux accès distants, au VPN et aux applications hébergées contenant vos données de gestion.
La gêne pour les utilisateurs est réelle les premiers jours, puis devient marginale. Elle n’a aucune commune mesure avec une semaine d’arrêt d’activité.
3. Une protection EDR, pas seulement un antivirus
Un antivirus traditionnel compare les fichiers à une base de signatures connues. Les rançongiciels actuels changent de signature à chaque diffusion, et opèrent souvent sans fichier malveillant, en détournant des outils légitimes déjà présents sur le poste.
Une solution EDR observe le comportement : un processus qui commence à chiffrer massivement des fichiers, ou qui tente de supprimer les sauvegardes système, est stoppé et la machine est isolée du réseau — même si la menace était inconnue.
Encore faut-il que quelqu’un regarde les alertes. Un EDR installé mais non supervisé perd une grande partie de son intérêt.
4. Cloisonner et supprimer les accès inutiles
Ce qui transforme un incident en catastrophe, c’est la propagation. Quelques règles simples la limitent fortement.
- Aucun compte utilisateur ne doit être administrateur de son poste au quotidien.
- Les comptes des collaborateurs partis doivent être désactivés le jour même, pas « quand on y pensera ».
- Les accès distants ne doivent jamais être publiés directement sur Internet sans passerelle ni MFA.
- Les serveurs, les postes et les équipements comme les caméras ou les imprimantes gagnent à être séparés en réseaux distincts.
- Chaque personne accède aux dossiers dont elle a besoin, pas à l’intégralité du serveur de fichiers.
5. Des collaborateurs qui savent reconnaître une arnaque
La fraude la plus coûteuse que nous voyons n’implique aucun virus : un e-mail parfaitement rédigé annonce qu’un fournisseur a changé de coordonnées bancaires, et le virement suivant part sur le compte de l’escroc.
Aucun outil ne bloque cela de façon fiable. Ce qui fonctionne, c’est une règle interne simple et connue de tous : tout changement de RIB est vérifié par un appel téléphonique au numéro que vous aviez déjà, jamais à celui indiqué dans le message.
Une sensibilisation courte, appuyée sur des cas réels et répétée une à deux fois par an, coûte peu et évite précisément le type d’incident que les assurances rechignent à couvrir.
Et si cela arrive quand même ?
Aucune protection n’est absolue. Ce qui distingue une entreprise qui redémarre en 48 heures d’une autre qui met trois semaines, c’est la préparation : savoir qui appeler, dans quel ordre remonter les systèmes, quelles données seront perdues au pire et qui prévient les clients.
Ce plan de reprise tient en deux pages. Il doit exister avant l’incident, être imprimé — car il sera inaccessible sur un serveur chiffré — et avoir été relu au moins une fois par ceux qui devront l’appliquer.